Registre des Traitements RGPD Article 30

conformite

Définition

Le registre des activités de traitement, ou registre des traitements (articles 30 du RGPD), est un document interne obligatoire que doivent tenir les responsables du traitement (RT) et les sous-traitants (ST). Il recense l'ensemble des traitements de données personnelles réalisés par l'organisation, avec les informations requises par le RGPD, et constitue l'outil central de la démarche de conformité au RGPD — souvent appelé « pierre angulaire » de la conformité. L'obligation de tenir un registre s'applique à toute organisation de 250 salariés ou plus, ainsi qu'aux organisations de taille inférieure dont les traitements sont susceptibles de comporter un risque pour les droits et libertés des personnes concernées, les traitements ne sont pas occasionnels, ou les traitements portent sur des catégories particulières de données (données sensibles). En pratique, quasiment toutes les organisations sont soumises à cette obligation. Le registre du responsable du traitement doit contenir pour chaque traitement : le nom et les coordonnées du RT (et du DPO le cas échéant), les finalités du traitement, les catégories de personnes concernées et de données, les catégories de destinataires des données, les transferts vers des pays tiers (et garanties associées), les délais de conservation prévus, et une description générale des mesures de sécurité techniques et organisationnelles. Le registre du sous-traitant contient des informations analogues adaptées à sa position. La CNIL recommande de tenir le registre sous forme d'un tableau structuré, avec une ligne par traitement ou par processus métier (ex. : « Gestion des RH », « Marketing direct », « Vidéosurveillance », « Accès client au portail »). Le DPO (Délégué à la Protection des Données) est généralement chargé de tenir et de mettre à jour le registre. La CNIL publie un modèle de registre en format tableur sur son site. Le registre n'est pas public (il n'est pas soumis à l'obligation de publication) mais doit être mis à disposition de la CNIL sur demande dans le cadre de ses contrôles. Lors des inspections CNIL, le registre est l'un des premiers documents demandés et son absence ou son insuffisance est régulièrement relevée. Des amendes ont été infligées pour absence de registre ou registre insuffisamment complet.

Structure et contenu du registre des traitements

Un registre conforme à l'article 30 RGPD contient pour chaque traitement identifié : Identification — nom du traitement, responsable opérationnel (métier propriétaire du traitement), catégorie de traitement (RH, commercial, IT, financier…) ; Finalités — objectifs précis et légitimes du traitement (ex. : « gestion des candidatures » et non « RH ») ; Base légale — obligation légale, intérêt légitime, contrat, consentement, mission d'intérêt public, intérêts vitaux (une seule base légale par traitement) ; Personnes concernées — catégories (clients, employés, prospects, visiteurs…) et si possible volume approximatif ; Données traitées — catégories de données (nom/prénom, email, RIB, données de santé…) et indication des catégories sensibles art. 9 ; Destinataires — internes (quels services) et externes (prestataires, partenaires, administrations) ; Transferts hors UE — pays tiers concernés et mécanismes de transfert (CCT, décision d'adéquation) ; Conservation — durée de conservation en base active et en archivage ; Sécurité — description synthétique des mesures techniques et organisationnelles.

La CNIL recommande également d'inclure des informations complémentaires non obligatoires mais utiles pour la gestion opérationnelle : base légale documentée (référence juridique précise), DPIA réalisée (oui/non, lien vers le document), outils et systèmes utilisés (pour faciliter les DPIA et les évaluations de sécurité), et DPA/sous-traitants associés (lien vers les DPA signés).

Mise à jour et gouvernance du registre

Le registre est un document vivant qui doit être maintenu à jour en permanence : tout nouveau traitement doit être ajouté avant sa mise en production, tout changement significatif (nouvelle finalité, nouveau destinataire, nouvelle durée de conservation, nouveau sous-traitant) doit être répercuté dans le registre, et les traitements abandonnés doivent être archivés (avec date de fin). Le DPO met en place un processus de mise à jour : formulaire de déclaration des nouveaux traitements pour les équipes métier, revue annuelle exhaustive du registre, et communication aux équipes de l'obligation de déclarer les nouveaux traitements.

Les projets IT sont un point critique : tout nouveau projet impliquant des données personnelles doit déclencher une déclaration au DPO et la mise à jour du registre, idéalement dès la phase de conception (Privacy by Design). L'intégration du registre RGPD dans les processus de gestion de projet (case RGPD dans le template de demande de projet, participation du DPO aux revues projet) facilite la conformité continue.

Registre et contrôles CNIL

Le registre est l'instrument central d'un contrôle CNIL. Lors des contrôles en ligne (examen des sites web), sur pièces (analyse de documents), ou sur place, la CNIL demande en premier lieu le registre des traitements. Les insuffisances fréquentes relevées : traitements manquants (ex. : vidéosurveillance, contrôle d'accès physique, cookies non documentés), durées de conservation absentes ou trop vagues (« durée légale » sans précision), bases légales manquantes ou incorrectes, et mesures de sécurité décrites de manière trop générique.

L'outil « PIA » de la CNIL permet non seulement de réaliser des DPIA mais aussi de gérer un registre des traitements simplifié. Des solutions spécialisées de gestion de la conformité RGPD (OneTrust, TrustArc, Didomi, EGERIE, Privacybee) proposent des fonctionnalités de registre des traitements plus avancées avec workflows de validation, historique des modifications, et intégrations avec les outils de gestion de projet et de ticketing.

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis